Skop dan kehendak soalan
Reka bentuk pemantau log Certificate Transparency (CT) berbilang penyewa (multi-tenant). Pengguna menyerahkan satu atau lebih domain; perkhidmatan menyemak log CT awam secara berterusan, memberi amaran bagi sijil atau prasijil (precertificate) yang sepadan, dan membuktikan bahawa data log tidak ditulis semula secara senyap. Ia juga mesti mengesan log lapuk, kegagalan bukti, dan pelanggaran maximum merge delay.
Ini ialah soalan reka bentuk sistem yang kukuh untuk peranan keselamatan platform dan infrastruktur sijil. Bahagian yang penting ialah saluran data yang boleh disahkan dan sempadan kegagalan yang jelas, bukan senarai perkhidmatan yang menjadi trend.
Perkara yang dinilai oleh penemu duga
- Sama ada anda membezakan pemantau daripada dasar penyemak imbas dan pengeluaran CA.
- Sama ada anda memahami signed tree heads (STH), bukti rangkuman Merkle (Merkle inclusion proofs), bukti ketekalan (consistency proofs), dan semantik tambah-sahaja (append-only).
- Sama ada maximum merge delay (MMD) dijadikan syarat penjadualan dan amaran yang boleh diukur.
- Sama ada anda merangkumi pelbagai log, bacaan pendua, paparan terpisah (split views), gangguan perkhidmatan, dan pengasingan penyewa.
- Sama ada andaian storan, keidempotentan, kawalan hingar amaran, dan kapasiti adalah konkrit.
Penjelasan yang perlu ditanya terlebih dahulu
Sahkan empat sempadan:
- Patutkah pemadanan merangkumi nama tepat, domain boleh daftar, kad liar (wildcard), atau nama dalam SAN?
- Adakah pengesanan hampir masa nyata diperlukan, atau adakah kependaman pada tahap minit boleh diterima? Saluran dan eskalasi bertugas (on-call) manakah yang diperlukan?
- Adakah pemantau mesti memeriksa setiap log awam, atau hanya set dipercayai yang terpilih? Patutkah sijil mentah dan bukti disimpan?
- Berapakah bilangan penyewa, tempoh pengekalan, keperluan privasi, dan belanjawan?
Jika tiada jawapan diberikan, anggap 100 log ditinjau sekali setiap minit, sasaran penemuan hujung ke hujung selama lima minit, dan bukti audit disimpan.
Kerangka jawapan tiga puluh saat
Saya akan membahagikan sistem kepada pengumpulan log, pengesahan kriptografi, pemadanan sijil, amaran, dan storan audit. Setiap log menyimpan saiz pepohon yang disahkan dan STH terkini. Pengumpul mengesahkan tandatangan STH, mengambil entri secara bertahap (incremental), dan menggunakan bukti rangkuman atau ketekalan untuk menyemak kelakuan tambah-sahaja. Lapisan pemadanan menormalkan SAN, kad liar, dan domain boleh daftar; lapisan amaran menyahduplikasi dan meningkatkan eskalasi mengikut dasar penyewa; lapisan audit menyimpan entri mentah, STH, bukti, dan cincangan (hashes). Metrik utama ialah kesegaran STH, lat log (log lag), kadar kegagalan bukti, kependaman amaran, dan kadar positif palsu. Paparan terpisah atau pelanggaran MMD akan membekukan keadaan dipercayai log tersebut dan mengeskalasikannya.
Perincian langkah demi langkah
1. Pengumpulan dan mesin keadaan
Simpan identiti setiap log, kunci awam, saiz pepohon dipercayai, STH disahkan terakhir, masa tinjauan terakhir, dan keadaan. Penjadual menetapkan tugasan mengikut keadaan: log biasa menggunakan bacaan bertahap, kegagalan sementara menggunakan penangguhan eksponen (exponential backoff), dan kegagalan berulang memasuki kuarantin. Gunakan identiti log serta saiz pepohon sasaran sebagai kunci tugasan supaya percubaan semula bersifat idempoten.
2. Pengesahan STH dan Merkle
Mula-mula sahkan tandatangan dan cap masa STH dengan kunci awam log, kemudian syaratkan saiz pepohon yang meningkat secara monotonik (tidak pernah menurun). Penyegerakan awal boleh menetapkan syot kilat penuh; penyegerakan kemudiannya menggunakan bukti ketekalan untuk menunjukkan bahawa pepohon baharu merangkumi pepohon lama. Bagi setiap entri yang sepadan, gunakan bukti rangkuman untuk menunjukkan bahawa ia tergolong dalam pepohon tersebut. Bukti yang gagal, pengunduran (rollback), atau tandatangan yang tidak sah tidak boleh menulis ganti keadaan lama; simpan bukti dan tandakan log sebagai mencurigakan.
3. Bacaan bertahap dan integriti
Minta julat selepas saiz pepohon terakhir yang disahkan dan tulis sijil mentah, prasijil, kedudukan log, dan masa penerimaan. Nyahduplikasi mengikut identiti entri tanpa membuang fakta bahawa satu sijil telah muncul dalam beberapa log. Jika tiada STH baharu yang boleh disahkan tiba dalam tempoh MMD, rekodkan lat log dan jana amaran platform. “Tiada sijil yang sepadan” tidak boleh disimpulkan daripada “tiada entri baharu diperhatikan.”
4. Pemadanan sijil dan amaran
Huraikan SAN, kad liar, pengeluar, notBefore, notAfter, dan cap jari sijil. Utamakan peraturan nama eksplisit dan domain boleh daftar berbanding pemadanan subrentetan. Amaran harus merangkumi penyewa, nama, log, cap jari, masa mula diperhatikan, dan pautan bukti. Nyahduplikasi cap jari yang sama dalam tetingkap masa yang singkat; pengeluar baharu, tempoh sah yang luar biasa singkat, atau domain pengeluaran boleh meningkatkan tahap keterukan.
5. Storan, kepenyewaan, dan pemulihan
Simpan keadaan panas (hot state) dalam storan hubungan atau nilai-kunci; letakkan entri mentah dan bukti dalam storan objek yang diindeks mengikut log dan saiz pepohon. Tulis peristiwa ke aliran audit yang tidak boleh diubah untuk dimainkan semula. Pertanyaan penyewa hanya mengembalikan nama yang dibenarkan. Terapkan had kadar bagi setiap log dan had konkurensi global supaya pemantau tidak membebankan log awam. Jika keadaan tempatan hilang, pulihkan daripada STH dipercayai terakhir dan kejar semula menggunakan bukti ketekalan dan bukannya mempercayai kursor yang tidak disahkan.
6. Kebolehcerapan dan pengendalian kegagalan
Ukur umur STH, lat MMD, saiz pepohon yang disahkan, daya pemprosesan pengambilan, kegagalan bukti, ketersediaan log, kadar pemadanan, kependaman amaran, dan pendua. Semasa gangguan, kekalkan keadaan dipercayai terakhir dan cuba semula. Sekiranya berlaku paparan terpisah atau kegagalan ketekalan, berhenti menggunakan padanan log tersebut, gunakan log lain, dan cipta peristiwa keselamatan. Jika pemberitahuan gagal, simpan peristiwa dalam baris gilir yang tahan lama dan hantar mengikut ID peristiwa selepas pemulihan.
Contoh jawapan berkualiti tinggi
Saya akan mentakrifkan kemajuan dipercayai terlebih dahulu: kursor log hanya bergerak maju selepas STH yang ditandatangani dengan betul dan bersaiz monotonik melepasi bukti ketekalan. Pengumpul menyimpan kursor tersebut dan julat yang diminta bersama token percubaan semula. Larian pertama menetapkan garis dasar; larian kemudiannya membaca mengikut julat saiz pepohon. Setiap entri mengekalkan cap jari, SAN, kedudukan log, respons mentah, dan bukti pengesahannya.
Pemadan menormalkan SAN sebelum membandingkannya dengan peraturan penyewa untuk nama tepat, domain boleh daftar, dan kad liar eksplisit. Peristiwa yang berkuncikan penyewa, cap jari, dan log akan memasuki baris gilir; pekerja pemberitahuan menyahduplikasi, mengeskalasi, dan merekodkan penghantaran. Storan audit mengekalkan STH, bukti, cincangan entri, dan versi pengesah supaya jurutera keselamatan boleh memainkan semula keputusan secara bebas.
Saya menganggap anomali log sebagai kegagalan kepercayaan data: tandatangan yang tidak sah, pengunduran, kegagalan bukti ketekalan, atau tamat masa MMD akan mencipta peristiwa platform berkeutamaan tinggi. Log tersebut dikuarantin dan keadaan dipercayai lamanya dipelihara. Pemecahan (sharding) mengikut log, pengehadan kadar, bacaan kelompok, dan storan objek mengawal kos; pertanyaan yang dibenarkan dan kuota penyewa menguatkuasakan pengasingan. Saya akan menerima reka bentuk ini berdasarkan kesegaran STH, kegagalan bukti, kependaman penemuan, kadar positif palsu amaran, dan kadar kejayaan main semula.
Kesilapan lazim
- Meninjau satu log sahaja dan mengabaikan fakta bahawa sijil boleh muncul dalam beberapa log.
- Membaca teks sijil tanpa mengesahkan tandatangan STH dan bukti Merkle.
- Menggerakkan kursor ke hadapan hanya kerana permintaan terkini berjaya, walaupun data belum disahkan.
- Menganggap MMD sebagai tempoh sah sijil, atau tiada amaran kesegaran log langsung.
- Memadankan domain menggunakan carian subrentetan, menyebabkan positif palsu bagi nama yang serupa dan SAN yang tidak berkaitan.
- Menyahduplikasi cap jari secara global sehingga kehilangan lokasinya di pelbagai log.
- Terus mengeluarkan kesimpulan “tidak dijumpai” yang berkeyakinan rendah semasa log mengalami anomali.
- Hanya menyimpan amaran akhir dan tiada entri mentah, STH, atau bukti, menyebabkan audit mustahil dilakukan.
Soalan susulan dan jawapan
Bagaimana jika log mengembalikan pepohon yang lebih kecil?
Jangan gerakkan kursor ke hadapan. Kekalkan kedua-dua STH dan respons tersebut, kuarantinkan log, dan jana amaran ketekalan. Sambung semula hanya selepas semakan manusia atau garis dasar dipercayai yang baharu diwujudkan.
Bagaimanakah anda mengurangkan kos peninjauan hampir masa nyata?
Lakukan pemecahan mengikut log, kelompokkan julat baharu, selaraskan kekerapan tinjauan secara dinamik, dan letakkan bukti sejuk dalam storan objek. Jangan korbankan pengesahan semata-mata untuk mencapai sasaran kependaman.
Bagaimanakah anda mengesahkan pemilikan domain?
Syaratkan kebenaran DNS, HTTP, atau organisasi apabila pemantau dicipta. Hanya prinsipal yang dibenarkan boleh menukar peraturan pemadanan, dan setiap perubahan diaudit.
Bagaimanakah pemantau berbeza daripada dasar CT penyemak imbas?
Pemantau menemui dan membuktikan entri dalam log awam. Dasar penyemak imbas menentukan sama ada sijil memenuhi keperluan sambungan. Pengendalian kegagalan dan sempadan kepercayaan kedua-duanya adalah berbeza.
Bagaimanakah anda akan mengujinya?
Gunakan log yang boleh dikawal atau respons yang direkodkan untuk menyuntik tandatangan tidak sah, bukti tidak sah, pengunduran, tamat masa MMD, entri pendua, dan percubaan semula pemberitahuan. Sahkan bahawa kursor tidak pernah bergerak secara salah, peristiwa kekal idempoten, dan audit berjaya dimainkan semula.